公安机关的公安网安部门在日常扫描中，发现某企业的机关业务系统存在SQL注入漏洞——数据库里存着几十万条客户信息，包括身份证号和手机号。查到处理这不是企业演习。当天下午，系统一份《网络安全监督检查通知书》就送到了企业负责人手里。漏洞别慌，公安也别想着糊弄，机关这套流程是查到处理有明确章法的。
先说要紧的企业：漏洞被查到，不等于马上罚款抓人。系统警察第一步是漏洞核实漏洞是否真实存在、有没有被利用过。公安技术民警会复现攻击路径，机关查看日志里有没有异常访问记录。查到处理如果只是潜在风险，没造成数据泄露，那属于“隐患整改”范畴；要是已经被人拖了库，那就升级为案件，企业可能从“受害方”变成“责任方”。
企业收到通知后，通常有5到15天的整改期限，具体看漏洞等级。超危漏洞可能只给3天。整改不是打个补丁就完事——要提交整改报告，写清楚漏洞成因、修复措施、复查结果，还得附上系统日志和截图。有个做电商的客户，被查到弱口令漏洞，他们连夜改了密码，结果报告里没写“是否排查过其他类似入口”，被退回重做。警察看的是你有没有举一反三，不是应付差事。
如果企业拖拖拉拉，或者整改后复查发现漏洞还在，那就进入行政处罚流程。依据《网络安全法》第21条、第59条，可处一万到十万罚款，直接负责的主管人员另罚五千到五万。去年杭州一家物流公司，因为未修复已知漏洞导致数据泄露，被罚了八万，技术总监个人罚了一万。钱是一方面，更麻烦的是被列入重点监管名单，之后每季度都要被扫描一次。
有人问：能不能找关系通融？别想。网安部门现在用自动化平台管理漏洞工单，每一步操作都有时间戳和责任人。你找人说情，反而可能被记为“干扰执法”。老老实实走流程最快。
整改过程中有个坑：很多企业只修被点名的那个漏洞，不去查同源问题。比如警察指出某接口未授权访问，你把它关了，但其他接口还在用同样的框架。下次扫描照样中招。正确做法是拿漏洞报告当体检单，把同类风险全过一遍。有个做SaaS的创业公司，被查到一处越权漏洞后，主动把全部API的权限校验重写了一遍，复查时民警都夸他们“省心”。
另外，如果漏洞导致公民个人信息泄露，企业还有报告义务。要在24小时内向网信部门和公安报告，说明泄露数据的种类、数量、可能影响。不报或者瞒报，处罚会加重。别以为偷偷修好就没事——暗网上一旦出现你的数据，警察比你先知道。
最后说个真实细节：某次检查中，民警发现企业服务器上还跑着Windows Server 2003，问负责人为什么不升级。负责人说“业务系统太老，动不了”。民警回了一句：“那你就等着被当跳板攻击别人。”三个月后，这台机器果然被用来挖矿，企业被罚了五万。老系统不是借口，隔离、访问控制、流量监控，总有办法降低风险。
漏洞被查到不是世界末日，但态度决定结果。配合、彻底、留痕，这三条做到，基本能平稳过关。想耍小聪明，后面有的是苦头吃。